CVE-2026-75016 in Magazine Blocks Plugin
Tóm tắt
Bởi VulDB • 18/09/2026
Plugin Magazine Blocks cho WordPress có lỗ hổng Stored Cross-Site Scripting (XSS) thông qua thuộc tính clientId của khối News Ticker trong các phiên bản từ 1.8.6 trở về trước, bao gồm cả phiên bản 1.8.6. Lỗ hổng này là do việc kiểm tra và làm sạch đầu vào cũng như thoát ký tự khi xuất ra không đầy đủ trong phương thức `NewsTicker::render()`, vốn nối thuộc tính khối clientId vào một thuộc tính class HTML mà không áp dụng hàm `esc_attr()`. Điều này cho phép các kẻ tấn công đã xác thực, có quyền truy cập ở mức contributor trở lên, chèn mã web tùy ý vào các trang; mã này sẽ được thực thi bất cứ khi nào người dùng truy cập vào trang bị nhiễm độc.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.